CVE-2026-19011
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W TinyAGI 0.0.20 wykryto podatność w funkcji buildSystemPrompt pliku packages/server/src/routes/agents.ts, która umożliwia włączenie plików. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może włączyć dowolne pliki, co może prowadzić do ujawnienia wrażliwych danych lub wykonania kodu w kontekście aplikacji.
Rekomendacja
Zaktualizuj TinyAGI, jeśli dostępna jest poprawka. Jeśli nie, ogranicz dostęp do aplikacji i monitoruj logi pod kątem podejrzanych żądań.
Inne podatności w TinyAGI
Zobacz wszystkie- CVE-2026-19010Wysokie
W TinyAGI 0.0.20 wykryto podatność w funkcji processMessage w pliku packages/main/src/index.ts komponentu Message API Endpoint. Brak autoryzacji umożliwia zdalny atak. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-19009Wysokie
W TinyAGI 0.0.20 wykryto podatność w funkcji collectFiles w pliku packages/core/src/response.ts komponentu Message API Endpoint. Manipulacja prowadzi do włączenia plików (file inclusion). Atak może być przeprowadzony zdalnie, exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in TinyAGI 0.0.20. The affected element is the function buildSystemPrompt of the file packages/server/src/routes/agents.ts. Performing a manipulation results in file inclusion. The attack may be initiated remotely. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.